Registros MX explicados: cómo encuentra su camino el correo

Cuando alguien envía un correo a name@example.com, el servidor de correo remitente no se limita a consultar el registro A habitual de example.com. Consulta un tipo de registro completamente distinto: MX, siglas de Mail Exchange (intercambio de correo). El registro MX apunta al nombre de host del servidor responsable de aceptar el correo de ese dominio, que muy a menudo es una dirección totalmente distinta de aquella en la que vive el propio sitio web.

Prioridad: lo que sorprende a la gente

Un dominio puede tener varios registros MX, cada uno con un valor numérico de prioridad. Se prefieren los números más bajos. Un servidor remitente prueba primero el servidor de correo con la prioridad más baja (el más preferido) y solo recurre a los valores más altos si ese no es accesible. Esto es lo que hace posible la entrega de correo redundante: un servidor de correo de respaldo con un valor de prioridad más alto, listo para aceptar el correo si el principal está caído.

• El destino de un registro MX debe resolverse a su vez a un registro A o AAAA: no puede apuntar directamente a una dirección IP.
• Un dominio sin ningún registro MX normalmente no puede recibir correo, aunque su sitio web funcione bien: ambos se gestionan con consultas DNS totalmente independientes.
• Dos registros MX con el mismo valor de prioridad son válidos a la vez: el servidor remitente puede elegir cualquiera, algo que a veces se usa a propósito como una forma rudimentaria de balanceo de carga.

Por qué importa más allá de «el correo funciona o no funciona»

Los registros MX también son el punto de partida para verificar la configuración de correo más amplia de un dominio: los registros SPF, DKIM y DMARC existen para demostrar que el correo que dice proceder de un dominio está realmente autorizado para ello, y comprobar la configuración MX suele ser el primer paso antes de verificarlos. Una migración a un nuevo proveedor de correo es, en el fondo, un cambio de DNS en el registro MX (más los registros de apoyo), lo que significa que hereda todas las salvedades de retraso de propagación que se aplican a cualquier otra actualización de DNS.

Un dominio que deliberadamente no envía correo

No todos los dominios quieren recibir correo, y dejarlo sin definir es en sí mismo una pequeña brecha de seguridad: sin una señal explícita, algunos sistemas de correo seguirán intentando la entrega o harán suposiciones ante una configuración ausente. El RFC 7505 define un «MX nulo» precisamente para esto: un único registro MX que apunta a «.» (la raíz, es decir, a ninguna parte) con prioridad 0, que declara explícitamente «este dominio no acepta correo, no hace falta intentarlo». Es una adición pequeña y fácil que conviene configurar en cualquier dominio (un dominio de redirección de marketing, un dominio de servicio solo interno) que de verdad nunca vaya a enviar ni recibir correo.

El error habitual que conviene evitar

Una mala configuración sorprendentemente frecuente es apuntar un registro MX directamente a una dirección IP, o a un nombre de host que a su vez solo tiene un CNAME y no un registro A/AAAA real. Ambas cosas incumplen las propias reglas del tipo de registro, y los sistemas de correo que siguen la especificación de forma estricta se negarán a entregar en absoluto en lugar de adivinar lo que se pretendía. Si el sitio web de un dominio funciona perfectamente pero la entrega de correo falla por completo en lugar de solo ir lenta, comprobar que cada destino MX se resuelve realmente a un registro A o AAAA simple (no a un CNAME ni a una IP suelta escrita por error) es una de las primeras y más baratas verificaciones que merece la pena hacer.